Вандроўны ноўтбук: стабільнае імя ці фіксаваны адрас офіса?

Вы адкрываеце кансоль кіравання з дому, шукаеце ноўтбук па імені і атрымліваеце адрас, які перастаў быць сапраўдным, як толькі ён пакінуў офіс. Інстынкт — перанесці адрас офіса на адаптар VPN, каб усё працягвала працаваць. Але такая папраўка звычайна ламае нешта іншае, бо знайсці прыладу, дазволіць яе трафік і ўтрымаць сеанс жывым — гэта тры розныя праблемы. Падзяліце іх, перш чым выбіраць схему адрасоў.

Падзяліце тры патрабаванні

Запішыце, якое з трох насамрэч не спраўляецца. Чалавек або інструмент не можа знайсці службу; сервер адхіляе запыты, бо адраса крыніцы няма ў спісе; або праграма абрываецца, калі змяняецца інтэрфейс. У табліцы яны выглядаюць аднолькава і патрабуюць розных паправак.

Большасць скаргаў на вандроўку трапляе ў першы кошык і выпраўляецца ў DNS. Назваць стабільную ідэнтычнасць танна і закрывае першы выпадак. Захаванне адраса дорага і дапамагае другому, толькі калі палітыку ўсё роўна перапішуць.

Зрабіце імя стабільнай рэччу

Дайце ноўтбуку імя, якое развязаецца ў любы адрас, даступны выклікаючаму боку. У гэтым прыкладзе адрас офіса — 192.168.50.42, пул аддаленага доступу выдае 10.90.0.42, а laptop17.corp.example ідзе за падключэннем. Нішто не патрабуе супадзення апошняга актэта, і распрацоўка вакол гэтага супадзення стварае працу без карысці. Запіс павінен паказваць на адрас, які выклікаючы бок можа рэальна выкарыстаць, а не на кожны інтэрфейс, які ноўтбук калі-небудзь меў.

dig +short laptop17.corp.example

Рэзалверы кэшуюць адказы, таму змена не адразу для ўсіх. Кароткія TTL дапамагаюць, а логіка перападключэння ў праграме дапамагае болей.

Калі сапраўдным абмежаваннем з’яўляецца спіс дазволеных крыніц

Спіс дазволеных крыніц бачыць адрас, які атрымлівае абароненая служба, пасля любога пераўтварэння. Гэта часта адрас шлюза або NAT, а не ўласны адрас ноўтбука, таму рэдагаванне запісаў DNS ніколі не выпраўляе адхілены запыт. Абнавіце палітыку для адраса, які рэальна прыходзіць, або заменіце спіс на аўтэнтыфікаваную ідэнтычнасць.

Злавіце адзін прыняты запыт на серверы і прачытайце поле крыніцы, затым паўтарыце з аддаленага шляху. Калі два адрасы розныя, палітыцы патрэбны два запісы або іншы механізм. Запішыце абодва адрасы разам з запісам палітыкі, каб наступны чалавек бачыў, чаму іх два. Паўторнае выкарыстанне адраса, які ўжо актыўны на тым жа канале — асобная праблема канфлікту са сваімі правіламі выяўлення.

Што насамрэч патрабуе безупыннасць

Бесперапыннасць злучэння — самае складанае патрабаванне і тое, якое часцей за ўсё разумеюць няправільна. Злучэнне TCP вызначаецца абодвума адрасамі і абодвума партамі, таму новы лакальны адрас — гэта іншае злучэнне, незалежна ад таго, што кажа DNS. Важныя праграмы павінны перападключацца, а гэта значыць сеансавы ўзровень або кліент, які паўтарае спробу, а не сеткавы трук. Назірайце за сеансам падчас перамяшчэння: разрыў адбываецца імгненна, а не паступова.

ss -tnp state established '( dport = :443 )'

Кланаванне MAC-адраса таксама не вырашае гэтага. Ідэнтычнасць арэнды DHCP можа выкарыстоўваць яўны ідэнтыфікатар кліента, і два інтэрфейсы, якія дзеляць адну ідэнтычнасць, усё роўна патрабуюць узгодненых маршрутаў. Разглядайце мабільнасць як праектаванне праграмы і размеркавання, трымайце ідэнтычнасць прылады стабільнай, пакуль яе адрас ідзе за сеткай.